404 Not Found
Writer
Meta vừa xác nhận một sự cố an ninh nghiêm trọng khiến hơn 20.000 tài khoản Instagram bị tin tặc chiếm quyền kiểm soát sau khi khai thác lỗ hổng trong hệ thống hỗ trợ khôi phục tài khoản bằng trí tuệ nhân tạo (AI).
Theo thông tin được công bố, các đối tượng tấn công đã lợi dụng một lỗi trong công cụ High Touch Support (HTS) – hệ thống AI được Meta triển khai để hỗ trợ người dùng lấy lại quyền truy cập khi bị khóa tài khoản. Lỗ hổng này cho phép kẻ gian yêu cầu đặt lại mật khẩu mà không cần xác minh chính xác địa chỉ email có thuộc tài khoản mục tiêu hay không.
Nhờ đó, tin tặc có thể nhận được liên kết đặt lại mật khẩu và chiếm quyền truy cập các tài khoản chưa kích hoạt xác thực hai yếu tố (2FA). Sau khi đăng nhập thành công, chúng có khả năng tiếp cận nhiều dữ liệu cá nhân như địa chỉ email, số điện thoại, ngày sinh, tin nhắn riêng tư, ảnh, video, bài đăng, lịch sử hoạt động và các tài khoản liên kết khác.
Meta cho biết đã phát hiện lỗ hổng vào ngày 31/5/2026 và ngay lập tức vô hiệu hóa toàn bộ hệ thống HTS cùng các liên kết đặt lại mật khẩu được tạo ra bởi nền tảng này. Công ty cũng đưa các tài khoản có nguy cơ bị ảnh hưởng vào quy trình kiểm tra bảo mật bắt buộc, yêu cầu người dùng đổi mật khẩu và xác thực lại danh tính.
Trong thông báo gửi cơ quan quản lý tại bang Maine (Mỹ), Meta xác nhận lỗ hổng đã bị khai thác để thực hiện các cuộc tấn công chiếm đoạt tài khoản Instagram. Công ty đang triển khai bản sửa lỗi nhằm tăng cường xác minh email trong quá trình khôi phục tài khoản trước khi đưa hệ thống HTS hoạt động trở lại.
Sự cố lần này tiếp tục nối dài chuỗi bê bối bảo mật từng khiến Meta nhiều lần đối mặt với các khoản phạt hàng trăm triệu USD từ cơ quan quản lý châu Âu. Trước đó, tập đoàn này từng bị xử phạt vì để lộ dữ liệu người dùng Facebook, không ngăn chặn hiệu quả hoạt động thu thập dữ liệu trái phép và lưu trữ mật khẩu của hàng trăm triệu người dùng dưới dạng văn bản thuần.
Sự cố một lần nữa làm dấy lên lo ngại về mức độ an toàn của các quy trình hỗ trợ tài khoản dựa trên AI, đồng thời cho thấy tầm quan trọng của việc kích hoạt xác thực hai yếu tố để bảo vệ tài khoản trước các cuộc tấn công chiếm quyền truy cập.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
